---
title: "Dpia data protection impact assessment opstellen: dit hoort erin"
url: https://mkbjuristen.nl/blog/ondernemen/dpia-data-protection-impact-assessment-opstellen/
date: 2026-10-04
modified: 2026-10-04
lang: nl
author: "denian@mkbrecht.nl"
description: "Dpia data protection impact assessment opstellen? Lees welke onderdelen erin horen, de veelgemaakte fouten en wanneer je een jurist inschakelt."
categories:
  - "Ondernemen"
image: https://mkbjuristen.nl/wp-content/uploads/2026/07/dpia-data-protection-impact-assessment-opstellen-hero-1024x576.jpg
word_count: 1070
---

# Dpia data protection impact assessment opstellen: dit hoort erin

Een dpia data protection impact assessment opstellen doe je in vaste stappen: je beschrijft de verwerking, toetst noodzaak en proportionaliteit, brengt de risico's voor betrokkenen in kaart en legt de maatregelen vast waarmee je die risico's beheerst. De AVG schrijft in artikel 35 lid 7 voor welke onderdelen minimaal in de DPIA moeten staan. Doe je dit zorgvuldig, dan heb je niet alleen een verplicht document, maar ook een concreet overzicht van wat je moet regelen voordat je met de verwerking start.

## Het korte antwoord

- **Beschrijf de verwerking**: doel, aard, omvang, context en betrokken gegevens.
- **Toets noodzaak en proportionaliteit**: is de verwerking nodig en in verhouding tot het doel?
- **Beoordeel de risico's** voor de rechten en vrijheden van de betrokkenen.
- **Bepaal maatregelen** om die risico's te verkleinen (technisch en organisatorisch).
- **Win advies in bij de FG** als je die hebt (artikel 35 lid 2 AVG).
- **Bepaal het vervolg**: starten, aanpassen of de toezichthouder raadplegen (artikel 36 AVG).

## Dpia data protection impact assessment opstellen: de verplichte onderdelen

![Dpia data protection impact assessment opstellen met de verplichte onderdelen op een rij](https://mkbjuristen.nl/wp-content/uploads/2026/07/dpia-data-protection-impact-assessment-opstellen-hero.jpg)

Artikel 35 lid 7 AVG noemt vier onderdelen die minimaal in de DPIA horen. Deze vormen de ruggengraat van het document:

- Een systematische beschrijving van de beoogde verwerkingen en de doeleinden, inclusief het gerechtvaardigd belang als je dat als grondslag gebruikt.
- Een beoordeling van de noodzaak en de proportionaliteit van de verwerking in verhouding tot de doeleinden.
- Een beoordeling van de risico's voor de rechten en vrijheden van de betrokkenen.
- De beoogde maatregelen om die risico's aan te pakken, inclusief waarborgen en beveiligingsmaatregelen om de bescherming van persoonsgegevens aan te tonen.

Deze vier onderdelen zijn het minimum. In de praktijk voeg je een beschrijving van de betrokken partijen, de bewaartermijnen en de grondslag per verwerking toe, zodat het document ook als verantwoording richting de toezichthouder dienstdoet.

## Stap 1 en 2: verwerking beschrijven en noodzaak toetsen

Begin met een feitelijke beschrijving. Welke persoonsgegevens verwerk je, van wie, met welk doel, op welke grondslag (artikel 6 AVG) en hoe lang bewaar je ze? Beschrijf ook de gegevensstromen: wie heeft toegang, welke verwerkers zijn betrokken en gaan er gegevens naar buiten de Europese Economische Ruimte?

Toets vervolgens de noodzaak en proportionaliteit. Kun je het doel bereiken met minder gegevens of met een minder ingrijpend middel? Het beginsel van dataminimalisatie (artikel 5 lid 1 sub c AVG) staat hier centraal. Als een lichter alternatief hetzelfde doel dient, is de zwaardere verwerking niet proportioneel.

## Stap 3 en 4: risico's beoordelen en maatregelen bepalen

![Risico](https://mkbjuristen.nl/wp-content/uploads/2026/07/dpia-data-protection-impact-assessment-opstellen-body1.jpg)

Beoordeel de risico's vanuit het perspectief van de betrokkene, niet vanuit dat van je organisatie. Denk aan identiteitsfraude, discriminatie, reputatieschade, verlies van controle over gegevens of financiële schade. Weeg zowel de kans als de mogelijke impact. Voor elk risico bepaal je maatregelen: technisch (versleuteling, pseudonimisering, toegangsbeheer) en organisatorisch (autorisatiebeleid, bewaartermijnen, verwerkersovereenkomsten, training).

Het doel is het restrisico terug te brengen tot een aanvaardbaar niveau. Documenteer per risico welke maatregel je neemt en welk restrisico overblijft. Die koppeling maakt de DPIA controleerbaar en toont aan dat je bewust hebt afgewogen.

## Stap 5 en 6: advies FG en vervolg bepalen

![Advies inwinnen bij de functionaris voor gegevensbescherming over de DPIA](https://mkbjuristen.nl/wp-content/uploads/2026/07/dpia-data-protection-impact-assessment-opstellen-body2.jpg)

Heb je een functionaris voor gegevensbescherming, dan win je bij het opstellen advies in (artikel 35 lid 2 AVG). Leg dat advies en wat je ermee hebt gedaan vast. Waar passend vraag je ook de mening van de betrokkenen of hun vertegenwoordigers, zoals de ondernemingsraad bij verwerkingen die werknemers raken.

Blijkt uit de DPIA dat er ondanks je maatregelen een hoog restrisico blijft, dan verplicht artikel 36 AVG je tot voorafgaande raadpleging van de Autoriteit Persoonsgegevens voordat je start. Blijft het restrisico aanvaardbaar, dan mag je beginnen en houd je de DPIA actueel.

Een praktijkvoorbeeld: een mkb-webshop wil klantgedrag combineren met externe data om gerichte profielen op te bouwen. Bij het opstellen van de DPIA blijkt dat de profilering verder gaat dan nodig is voor het doel. De onderneming beperkt de dataset en schrapt een externe databron, waarna het restrisico aanvaardbaar wordt en raadpleging van de toezichthouder niet nodig is.

## Eerlijke aanbeveling

![Ondernemer en jurist bespreken het opstellen van een DPIA](https://mkbjuristen.nl/wp-content/uploads/2026/07/dpia-data-protection-impact-assessment-opstellen-advies.jpg)

Je hebt niet altijd een jurist nodig om een DPIA op te stellen. Bij een overzichtelijke verwerking met een duidelijk doel en beperkte gegevens kun je de vier onderdelen van artikel 35 lid 7 AVG met een goed sjabloon en de handreiking van de Autoriteit Persoonsgegevens zelf invullen. Wordt het complex, bijvoorbeeld bij bijzondere gegevens, profilering, doorgifte buiten de EER of nieuwe technologie, dan loont het om juridisch te laten meekijken. De beoordeling van noodzaak en proportionaliteit is vaak het lastigste onderdeel en juist daar gaat het in de praktijk mis.

Meer weten? Bekijk het [dpia data protection impact assessment](https://mkbjuristen.nl/contracten/dpia-data-protection-impact-assessment/), lees de uitleg over [wat een dpia is](https://mkbjuristen.nl/blog/ondernemen/wat-is-een-dpia-data-protection-impact-assessment/) en over het [dpia laten opstellen](https://mkbjuristen.nl/blog/ondernemen/dpia-data-protection-impact-assessment-laten-opstellen/).

## Veelgestelde vragen

**Welke onderdelen moeten er verplicht in een DPIA?** Artikel 35 lid 7 AVG noemt vier onderdelen: een beschrijving van de verwerking en de doeleinden, een beoordeling van noodzaak en proportionaliteit, een beoordeling van de risico's voor betrokkenen en de maatregelen om die risico's aan te pakken.

**Hoe begin ik met het opstellen van een DPIA?** Begin met een feitelijke beschrijving van de verwerking: welke gegevens, van wie, met welk doel, op welke grondslag en hoe lang. Breng ook de gegevensstromen, verwerkers en eventuele doorgifte buiten de EER in kaart.

**Wat betekent de toets van noodzaak en proportionaliteit?** Je beoordeelt of de verwerking nodig is en in verhouding staat tot het doel. Kun je het doel bereiken met minder gegevens of een lichter middel, dan is de zwaardere verwerking niet proportioneel. Dataminimalisatie (artikel 5 AVG) staat centraal.

**Vanuit welk perspectief beoordeel ik de risico's?** Vanuit de betrokkene, niet vanuit je organisatie. Denk aan identiteitsfraude, discriminatie, reputatieschade of verlies van controle. Weeg zowel de kans als de impact en koppel er per risico een concrete maatregel aan.

**Moet ik de functionaris voor gegevensbescherming betrekken?** Als je organisatie een FG heeft, win je bij het opstellen advies in (artikel 35 lid 2 AVG). Leg dat advies vast en beschrijf wat je ermee hebt gedaan. De FG adviseert, de verwerkingsverantwoordelijke blijft eindverantwoordelijk.

**Wat doe ik als er een hoog restrisico overblijft?** Dan raadpleeg je de Autoriteit Persoonsgegevens voordat je start (artikel 36 AVG). Blijft het restrisico na je maatregelen aanvaardbaar, dan mag je beginnen en houd je de DPIA actueel.

**Kan ik een DPIA zelf opstellen?** Bij een overzichtelijke verwerking kun je de vier onderdelen met een goed sjabloon zelf invullen. Bij bijzondere gegevens, profilering, doorgifte buiten de EER of nieuwe technologie is juridische ondersteuning verstandig, vooral bij de toets van noodzaak en proportionaliteit.